本文由 FlintHub 开发文档归档发布。原始文档日期见标题前缀，来源：WWW/docs/vn_postname插件修复与验证报告_2026-09-23.md。

vn_postname 插件修复与验证报告

• 插件：plugins/vn_postname（马甲发帖）
• 版本：1.1.0 → 2.0.0（破坏性语义变更：取消发帖自动建号）
• 日期：2026-09-23
• 依据：docs/vn_postname插件审计报告_2026-09-23.md（17 项：P0×3 / P1×4 / P2×4 / P3×6）
• 验证环境：phpstudy CLI PHP 8.2.9nts + php -S 127.0.0.1:8899（生产为 IIS + PHP 8.4，下限 8.0）

0. 结论

三步全部完成，17 项审计问题修掉 16 项（P3-6 属规范文档侧，未动）。

核心安全目标达成：@@ 只能指向操作者本人的马甲，越权与不存在一律 422 拒绝，且拒绝发生在 route_before_dispatch（帖子根本不创建，无「先建后删」残留）。

1. 变更文件清单（sha256 前 16 位）

重写

新建

修改

全部 12 个原文本文件行尾 CRLF → LF（P2-1）。assets/style.css、data/*、hook/thread_create_after.php、hook/post_create_after.php、hook/admin_route_register.php 未改内容。

2. 第一步·收尾修复（逐项对照）

3. 第二步·P0-2 改造为方案 B

3.1 归属模型

新增插件自有表 vnpn_aliases（不读不写核心 users 表做归属判断）：

CREATE TABLE IF NOT EXISTS vnpn_aliases (
    id INTEGER PRIMARY KEY, owner_id INTEGER NOT NULL DEFAULT 0,
    uid INTEGER NOT NULL DEFAULT 0, username TEXT NOT NULL DEFAULT '',
    created_at TEXT NOT NULL)
-- 索引：idx_vnpn_alias_owner / idx_vnpn_alias_uid / UNIQUE(owner_id, username)

存量回填 backfillAliases()：从 vnpn_log WHERE created_new = 1 反查 operator_id → 回填归属，不读核心 users 表，幂等。

3.2 门禁：route_before_dispatch（唯一防线）

@@ 的放行/拒绝全部前置到路由分发之前——帖子根本不创建，避免「先建后删」残留。

流程：非 POST → return ｜ 只认 /post/new 与 #^/thread/(\d+)$# ｜ 未登录 → return ｜ 取标记（标题优先，正文经 Content::decode()）｜ 无标记 → return ｜ 无权 → 拒绝页 ｜ findOwnedAlias() 成功 → 放行 ｜ 失败 → 拒绝页（带本人马甲列表）。

• 顶层函数 vnpnGateErrorPage() 用 if (!function_exists()) 包裹且置于文件顶部（规范 §9.4 双触发要求：index.php:296 带参 + Router.php:93 不带参）
• 返回路径白名单构造，不含用户输入（防开放重定向）
• 拒绝页 HTTP 422，草稿回显：content 原样 base64 回填 + 解码后块级标签换行 + strip_tags 预览

3.3 建号入口 createAlias()（唯一）

校验链顺序：

enabled → allow_create → isAllowed(含封禁) → RateLimiter(5/3600)
  → validateUsername(正则 + 保留词黑名单)
  → 本人马甲数量上限(5) → 本人同名马甲(err_alias_exists)
  → 全局用户名重名(err_name_taken) → User::create() + 头像补齐 → 写 vnpn_aliases

• allow_create 语义已改：仅控制「能否创建马甲」，不再控制发帖时自动建号（发帖自动建号已整体移除）
• ALIAS_MAX_PER_USER = 5；保留词黑名单含 admin / 管理 / 版主 / 官方客服 / 站长 等 22 项，按包含式匹配（sys_admin 也拦）
• 用户名正则 /^[\p{L}\p{N}_.\-]{2,32}$/u

3.4 前台页面

• GET /vn-postname/aliases — 「我的马甲」：列表（含「该马甲账号已不存在」态）、创建表单、解除归属（<details> 二次确认，零 onclick）、使用说明
• POST /vn-postname/aliases/create / delete — 均走 Csrf::verifyOrDie()
• 解除归属只删归属行，不删用户（已发帖子不受影响）
• 入口：nav_user_menu_items（PC 下拉 + 移动菜单，图标 user-secret = ，mn-fs-14）

4. 第三步·P2-2 计数 / 积分归属马甲

核心现状（已核实）：

transferOwnership() 只做归属转移：

① post_count：发帖才回退操作者（回帖核心没加，无需回退）；一律给马甲 +1
② 积分：先 Points::deduct(操作者) —— 成功才 Points::award(马甲)
         扣失败（余额不足等）则跳过加分并记日志，绝不凭空造分（总量守恒）

⚠️ 不碰等级联动（等级由核心 / 等级插件按各自规则处理）——按要求单独处理。

5. 硬约束核对

6. 验证矩阵

6.1 HTTP 端到端冒烟（37 / 37 PASS）

服务：php -S 127.0.0.1:8899 -t D:/phpstudy_pro/WWW；会话：手写 sessions 行（uid1 管理员带 admin_verified_at+csrf、uid2 普通用户）。

A. 门禁 A/B 反证（category_id=999999 → 控制器在写库之前即返回「请选择有效的分类」，因此同一个请求形状只换 @@ 名字就能干净反证门禁，且不落任何数据）

B. 拒绝页完整性：422 / 页标题「发帖被拒绝」/ 被拒绝的标记行 / 回显 @@flinthub / 本人马甲列表 / 草稿回显 / 无缺键泄漏 — 7 项全 PASS

C. 无权提示、D. 回帖路径（POST /thread/99999999：本人马甲放行、他人马甲 422）、E. GET 双触发幂等（/ /forum /post/new /vn-postname/aliases 全 200 无缺键）、F. CSRF 与登录态（无 CSRF 403、错 CSRF 403、未登录 302 /login）— 全 PASS

G. 建号拦截分支 + 限流（全部为拒绝分支，零写入）

H. 后台页 /admin/vn-postname：uid1 200 + 「当前全站共 N 个马甲」+ 无缺键；uid2 → 302 /login — 全 PASS

6.2 直接调用层回归（28 / 28 PASS）

• P0-1 生命周期：class_exists / method_exists(uninstall) / method_exists(activate) = true
• P0-2 findOwnedAlias：(1,小助手)=285；(1,flinthub) (1,虚拟化大师) (2,小助手) (2,虚拟化大师) (999,小助手) 全部 null
• P1-3 isAllowed：1=true / 2=false
• P1-4 validateUsername：admin 管理员 官方客服 sys_admin → err_name_reserved；a → err_name_invalid；正常马甲 flinthub 小助手 → 通过
• P3-3 stripMarker：三种形态空块清理正确
• createAlias 拒绝分支：admin→err_name_reserved、flinthub→err_name_taken、a→err_name_invalid、小助手→err_alias_exists
• 副作用断言：MAX(uid) before=285 after=285（未产生任何新账号）、vnpn_aliases 仍 1 行

6.3 数据完整性

users          MAX(id)=285  COUNT=285   （未变）
vnpn_aliases   1 行：owner_id=1  uid=285  username=小助手  created_at=2026-09-23 19:10:35（未变）

该行与 topic id=92「[新闻] 马甲发帖测试」均为既有数据（老搭档自己测的），本次未改动。

7. 验证过程中发现并处理的问题

7.1 代码侧：createAlias 校验顺序不精确（已修）

初版把「全局用户名重名」判定排在「本人同名马甲」之前。由于每个马甲本身就是一个真实用户账号，findByUsername() 必然先命中 → 重复创建自己已拥有的马甲名时给出通用文案「该用户名已存在」，而非精确的「你已经有同名马甲了」。

修法：把插件自有归属表的「数量上限 + 本人同名」判定提到全局重名判定之前。

性质：纯代码块换位，两个分支都自带 try/catch 并 return，成功路径零影响。

证据：Plugin.php sha256 6ecc051f7dabf25a… → 86802a2d3efd915a…；php -l 通过；回归 createAlias(1,'小助手') 由 err_name_taken 变为 err_alias_exists；HTTP 冒烟 G4 转 PASS。

7.2 测试脚手架自身的 3 个坑（均为假阴性来源，非插件缺陷）

1. urllib 默认跟随 302 → 既看不到 302 本身，又会在跟随的那次 GET 里把 session flash 消费掉，导致后续显式 GET 取不到提示文案。首版脚本因此误报 6 项 FAIL。→ 改用「不跟随重定向」的 opener。
2. 核心自己的限流：PostController.php:72 create_thread 5 次/600s、ThreadController.php:100 reply 3 次/30s。连发几次就 429，表现为「门禁放行用例失败」。→ 每次 POST 前清 IP 限流文件。
3. 限流是 IP + Session 双维度（RateLimiter::checkAndAppend 文件缓存 + $_SESSION）。只清 IP 文件不够——旧会话里的 session 计数仍在，G 组后 5 项全部返回「创建过于频繁」。→ 每次 POST 用全新会话。

附带发现：vn_postname 的建号限流排在用户名校验之前，因此反复输入非法名字也会消耗建号配额。作为反枚举设计可接受，未改动，仅记录。

8. 未覆盖项与残留风险

9. 探针清理记录

保留的可复用回归套件（均在 .workbuddy-ai/tmp/，不进发布包）：

• _vnpn_smoke.py — HTTP 端到端冒烟（37 项，已内置 §7.2 三个坑的规避）
• _vnpn_mksess.php — 造测试会话
• _vnpn_unit.php — 直接调用层回归（28 项）
• _vnpn_i18n.py — 三语键集合 / 键序 / 占位符比对

10. 下一步（等指示）

1. 实测 createAlias 成功建号路径（可选，会新增 1 个测试用户，可清理）
2. P3-6：更新 docs/插件开发规范.md §9.1:691 的过时注释
3. 等级联动：马甲计数/积分归属后的等级处理（按要求单独处理）
4. 发布包：update/29 + CHANGELOG.md
5. MEMORY.md 蒸馏：当前 .workbuddy-ai/memory/MEMORY.md 已 7944 / 8000 字符（99.3%）